CVE catalog

CVE-2026-40959

UBUNTU-CVE-2026-40959

[CVE catalog]

Severity
Critical · CVSS 9.3CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Published
Updated
Source
[NVD] · [CVE record]
EPSS
0.18% · Oct 25, 2026

Luanti 5 before 5.15.2, when LuaJIT is used, allows a Lua sandbox escape via a crafted mod.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianluanti135.10.0+dfsg-5vulnerable
Debianluanti135.10.0+dfsg-5+deb13u1fixed
Debianluanti145.10.0+dfsg-5vulnerable
Debianluanti145.14.0+dfsg-1vulnerable
Debianluanti145.14.0+dfsg-2vulnerable
Debianluanti145.14.0+dfsg-3vulnerable
Debianluanti145.15.1+dfsg-1vulnerable
Debianluanti145.15.1+dfsg-2vulnerable
Debianluanti145.15.2+dfsg-1fixed
Ubuntuluanti25.105.10.0+dfsg-5vulnerable
Ubuntuluanti25.105.10.0+dfsg-5+deb13u1build0.25.10.1fixed
Ubuntuluanti26.045.10.0+dfsg-5vulnerable
Ubuntuluanti26.045.10.0+dfsg-5+deb13u1build0.26.04.1fixed
Ubuntuluanti25.105.10.0+dfsg-5vulnerable
Ubuntuluanti25.105.10.0+dfsg-5+deb13u1build0.25.10.1fixed
Ubuntuluanti26.045.10.0+dfsg-5vulnerable
Ubuntuluanti26.045.10.0+dfsg-5+deb13u1build0.26.04.1fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianluantideb135.10.0+dfsg-5+deb13u1Not reportedDEBIAN-CVE-2026-40959Not reported
Debianluantideb145.15.2+dfsg-1Not reportedDEBIAN-CVE-2026-40959Not reported
Ubuntuluantideb25.105.10.0+dfsg-5+deb13u1build0.25.10.1Not reportedUSN-8366-1Not reported
Ubuntuluantideb26.045.10.0+dfsg-5+deb13u1build0.26.04.1Not reportedUSN-8366-1Not reported
Ubuntuluantideb25.105.10.0+dfsg-5+deb13u1build0.25.10.1Not reportedUBUNTU-CVE-2026-40959Not reported
Ubuntuluantideb26.045.10.0+dfsg-5+deb13u1build0.26.04.1Not reportedUBUNTU-CVE-2026-40959Not reported

OpenFactory catalog packages

[Debian 13 (Trixie)]

  • [luanti]Fixed
    Details (4)

    • 5.10.0+dfsg-5+deb13u1 · amd64 · trixie

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · arm64 · trixie

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · amd64 · trixie-security

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · arm64 · trixie-security

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

  • [luanti-data]Fixed

    Source package: [luanti]

    Details (4)

    • 5.10.0+dfsg-5+deb13u1 · all · trixie

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · all · trixie

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · all · trixie-security

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · all · trixie-security

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

  • [luanti-server]Fixed

    Source package: [luanti]

    Details (4)

    • 5.10.0+dfsg-5+deb13u1 · amd64 · trixie

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · arm64 · trixie

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · amd64 · trixie-security

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · arm64 · trixie-security

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

  • [minetest]Fixed

    Source package: [luanti]

    Details (4)

    • 5.10.0+dfsg-5+deb13u1 · all · trixie

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · all · trixie

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · all · trixie-security

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · all · trixie-security

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

  • [minetest-data]Fixed

    Source package: [luanti]

    Details (4)

    • 5.10.0+dfsg-5+deb13u1 · all · trixie

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · all · trixie

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · all · trixie-security

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · all · trixie-security

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

  • [minetest-server]Fixed

    Source package: [luanti]

    Details (4)

    • 5.10.0+dfsg-5+deb13u1 · all · trixie

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · all · trixie

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · all · trixie-security

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

    • 5.10.0+dfsg-5+deb13u1 · all · trixie-security

      Fixed · Fixed: 5.10.0+dfsg-5+deb13u1

      pypi · luanti · debian · 13

Observed:

References

[FIRST EPSS] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX]